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(57) Abstract 

The invention concerns 
a method enabling a smart 
card and a terminal whereto 
it is connected to audtenti- 
cate each other. The inven- 
tion is characterised in that 
at the end of each transaction " < 
the terminal calculates, from 
data representing the card at 
said transaction end, a secret 
code CSC2 which is recorded 
in a zx>n& ZCSC with unpro- 
tected access in the card mem- 
ory and an authentication cer- 
tificate CA2 which is recorded 
in a zone ZCA with protected 
access of the memory by pre- 
senting a secret code CSC2. 
At the next transaction, the 
temiinal calculates, by means 
of data contained in die card, 
a secret code and an authenti- 
cation certificate which are compared 
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to those previously recorded to perform authentication. The invention is applicable to smart cards. 



(57) Abr^g^ 

L' invention conccme un proc^d6 qui permet a une carte k ni6moire et h m tenninal auquel elle est connectde dc s'authentifier 
mutuellement. LMnvention rfiside dans le fait qu'a la fin de chaque transaction le terminal calcule, k partir d* informations reprdsentatives 
de la carte & cette fin de transaction, un code secret CSCa qui est eniegistr6 dans une zone ZCSC k accts non protdg^ de la mdmoire de 
la carte et un certificat d'authentification CA2 qui est cnregistr6 dans une zone ZCA k acc6s prot£g6 de la mtooire par la presentation du 
code secret CSC2. A la transaction suivante, le terminal calcule, k Taide des informations contenues dans la caite, un code secret et un 
certificat d'authentification qui sont compards k ceux pr6c6demment enrcgistnds pour rdaliser Tauthentification. LMnvention est applicable 
aux cartes k mdmoire. 
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PROCEDE D*AnTH£N!riFICATION EKTRE UNE CARTE A HEMOIRE ET 

UN TERMINAL 



L' invention concerne les cartes a memoire et les 
terminaux auxguels elles sont susceptibles d'etre 
connectees de temps a autre et, plus particuliferement, 
un proc&d^ qui permet Sl la carte S mfemoire et au 
5 terminal de s'authentif ier . 

Les cartes i memoire, du fait qu' elles ne comportent 
pas un microprocesseur, ne peuvent pas mettre en oeuvre 
un algorithme d'authentif ication qui implique des 
calculs. Cependant, certaines cartes a mfemoire mettent 

10 en oeuvre un algorithme sous forme cSbl^e qui permet 
1 'authentif ication dite "active" de la carte par le 
terminal mais pas 1 ' authentif ication inverse du 
terminal par la carte. Par suite de leur faible coflt, 
les cartes h m§moire sont tres utilisies dans de 

15 nombreuses applications telles que les cartes de 
fid^lite, les contrdles d'accfes, les paiements 
privatifs, etc . Cependant, par suite de 1' absence 

d' authentif ication, leur s^curite d'emploi est 
vulnerable de sorte qu'on leur prfeffere parfois des 

20 cartes i microprocesseur pour certaines applications. 
Mais ces cartes h microprocesseur sont d'un codt 
nettement plus £lev£, d'autant plus elevfe que 
1' algorithme d' authentif ication est felabore, ce qui 
conduit a les ecarter pour des applications bon marchd. 

25 Aussi, le but de la presente invention est d'obtenir la 
securite d*emploi des cartes ^ memoire. 
Ce but est atteint en mettant en oeuvre un procfede 
d» authentif ication dans lequel tous les calculs 
algorithmiques sont effectues par le terminal auquel la 

30 carte a memoire est connect&e. 
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Par ailleurs, les operations relatives a 
I'authentif ication sont f features avant le d§but d'une 
transaction proprement dite et aprfes la fin de cette 
transaction en vue de 1 'authentif ication au dSbut de la 
5 transaction suivante. 

L' invention concerne done un procSde d' authentif ication 
entre une carte a mSmoire comportant au moins un 
compteur et un terminal, caract§rise en ce qu'il 
comprend les §tapes suivantes consistant a : 
10 (a) Inserer la carte ^ memoire dans le terminal, 

(b) Calculer dans le terminal un code secret CSC^ selon 
une fonction cryptographigue F de plusieurs 
variables comprenant au moins un code CSN 
identifiant la carte a mimdire et la valeur dudit 

15 compteur, 

(c) Authentif ier le terminal par la carte lorsque le 
code secret calculi CSC^^ est identique a un code 
CSCq enregistrfe dans la mSmoire k la fin de la 
precedente authentif ication selon 1' operation (f) 

20 ci-apr&s, 

(d) executer la transaction prevue et modifier la 
valeur dudit compteur, 

(e) calculer dans le terminal un nouveau code secret 
CSC2 selon la fonction cryptographigue F du code 

25 CSN identifiant la carte a memoire et de la 

nouvelle valeur dudit compteur, 

(f) mettre S jour la carte a memoire pour la prochaine 
transaction en enregistrant dans la memoire, le 
nouveau code secret CSCj calcule par 1' operation 

30 (e). 

Pour obtenir 1 ' authentif ication de la carte par le 
teirminal, le proc6d6 comprend les etapes 
supplementaires suivantes entre les stapes (c) et (d) 
consistant a : 
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(X) calculer dans le terminal un certificat 
d * authentif ication CA^^ selon une fonction 
cryptographique G de plusieurs variables comprenant 
au moins le code CSN identifiant la carte h mfimoire 
5 et la valeur dudit compteur, 

(y) authentifier la carte par le terminal lorsque le 
certificat d' authentif ication calcul6 CA^^ est 
identique a un certificat CAq calcule et enregistrS 
dans la carte ^ la fin de la pr6c6dente transaction 
10 selon les fetapes (e') et (f) ci-apres : 

en ce que I'etape (e) est completee par I'etape 
suivante consistant 4 : 

(e*) calculer dans le terminal un nouveau 
certificat d' authentif ication CAj selon la fonction 
15 cryptographique G, 

et en ce que I'fetape (f) est compl6t6e par I'fetapc 
suivante consistant k : 

(f) mettre a jour la carte k mfemoire pour la 
prochaine transaction en enregistrant dans la 
20 memoire le nouveau certificat d* authentif ication 

CA2 calculi selon l*6tape (e'). 
D'autres caracteristiques et avantages de la presente 
invention apparaltront Sl la lecture de la description 
suivante d'un exemple particulier de realisation, 
25 ladite description fetant f aite en relation avec le 
dessin joint dans lequel : 

- la figure 1 est un schema simplifie d'une carte a 
memoire, et 

- la figure 2 est un diagramme montrant les operations 
30 effectuees entre le terminal et la carte & mfemoire 

lors d'une transaction. 
Le precede de 1' invention s' applique (figure 1) a une 
carte a memoire CM qui comprend bien entendu une 
memoir e M mais aussi un compteur CT dit de transactions 
3 5 qui compte les transactions effectufees entre la carte 
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CM et un terminal TE auquel la carte est connectee par 
insertion. 

La carte a memoir e CM peut aussi comprendre un deuxi^me 
compteur CE dit d ' authentif ication qui compte les 
5 demandes d'authentif ication, ces demandes 

d'authentification pouvant intervenir ^ tout moment 
lors d'une transaction et independamment de cette 
derniere. 

Ces deux compteurs CE et CT peuvent faire partie de la 

10 memoire M selon des dispositifs connus. 

En outre, la memoire M de la carte comprend une 
premiere zone S acc^s non prot6g§ en lecture dans 
laquelle est enregistre, par exemple le nuraero de serie 
CSN de la carte dans une partie ZCSN, et une deuxiSme 

15 zone a acces prot§g6 pour le reste de la mSmoire, cette 
deuxidme zone comportant des parties qui sont affectees 
a 1 ' enregistrement de valeurs particulidres telles 
qu'un Certificat d' Authentif ication CA dans la partie 
ZCA et une balance BAL et son certificat 

20 d» authentif ication CBAL dans la partie ZEAL* 

Une troisifeme zone ZCSC est reserv6e h 1 'enregistrement 
d»un code secret CSC et son acces pour enregistrement 
est soumis a la presentation du code secret CSC. 
La memoire M est adressee par un circuit d'adressage 

25 ADR et la^ transmission bilatfirale des signaux entre le 
terminal TE et la carte CM s'effectue par 
1 ' intermidiaire d'un circuit interface INT, 
Par ailleurs, la carte comprend un comparateur CP qui 
compare le code CSC lu dans la partie ZCSC a un code 

30 fourni par le terminal TE, le resultat de la 
comparaison permettant ou non I'adressage de la zone 
protegee de la mSmoire M. 

Le proc§de selon 1' invention sera dfecrit dans le cadre 
d»une authentif ication mutuelle entre la carte et le 
35 terminal en mettant en oeuvre le seul compteur de 
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transactions CT et des. fonctions cryptographiques dites 
§i sens unique mais le proc6d§- de 1 ' invention peut 
egalement s'appliquer & la seule authentif ication du 
terminal par la carte, H la mise en oeuvre simultanee 
5 des deux compteiirs CE et CT et de fonctions 
cryptographiques autres que celles a sens unique. Les 
diffSrentes op6rations, notamment cryptographiques, 
peuvent &tre r§alis6es soit dans le terminal TE, soit 
dans un module de s6curit6, soit encore dans un 
10 dispositif distant. 

De preference, le procide d' authentif ication mutuelle 
selon 1' invention comprend les fetapes suivantes 
consistant h : 

(m) Inserer la carte CM dans le terminal TE, cette 
15 itape pouvant comporter la presentation d'un code 
personnel PIN de 1 'utilisateur de la carte, 
(n) Calculer dans le terminal TE une cle de session 
Ks^ en : 

(n^^) lisant le num§ro de sirie CSN de la carte CM, 
20 (n2) lisant le contenu CTC^^ du compteur de 

transactions CT de la carte CM et, 
(nj) calculant une cle de session Ks^ selon une 
fonction cryptograph ique h sens unique Fj^g telle 
que : 

25 KSj^^ Fj^s(Kj^, CSN, CTC^^) 

- etant une cli-mdre enregistr§e dans le 
terminal TE, 

- Fj^g 6tant par exemple une fonction du type 
hachage , 

30 (o) Calculer, dans le terminal TE, un code secret CSCj^ 
de la carte a I'aide d'une fonction 
cryptographique. F telle que : 
CSC^ = F{KSj^) , 
(p) Authentif ier le terminal TE par la carte CM en : 
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(p^) transmettant le code secret CSC^ a la carte 
CM, 

(Pj) comparant dans le comparateur CP ce code 
secret CSC^ a un code secret CSCq enregistrfe dans 
5 la carte CM a la fin de la pr6c6dente transaction 

avec la carte, et 

(P3) autorisant la suite des operations si la 
comparaison indique 1» identity CSCq = CSC^^ ou en 
la refusant dans le cas contraire ; 
10 (q) Calculer dans le terminal TE un Certificat 
d'Authentif ication CA^ tel que : 
CA^^ = GCKSj^) 

- G §tant une fonction cryptographique , et 
(r) Authentifier la carte CM par le terminal TE en : 
15 (r^^) lisant le contenu CAq de la zone ZCA de la 

memoir e de la carte CM, 

(rj) transmettant au terminal TE le contenu CAq de 
cette zone prot6gge ZCA qui correspond a un 
Certificat d'Authentif ication CAq calculi a la fin 
20 de la pr6c6dente transaction, 

(r3) comparant dans le terminal TE le Certificat 
d'Authentif ication calculi CAj^ au certificat CAq, 
et 

(r^) autorisant la suite des operations si la 
25 compariaison indique I'identite CA^ = CAq ; 

(s) Executer la transaction, cette transaction pouvant 

consister par exemple a mettre i jour une zone de 

memoire ZBAL indiquant I'etat du credit ou balance 

BAL restant dans la carte CM en : 
^° (s^) lisant dans la zone ZBAL la valeur BALq de la 

balance resultant de la transaction precedente et 

le certificat correspondant CBALq, 

(Sj) verifiant que le certificat CBALq correspond 

bien au r^sultat de la fonction cryptographique 
35 telle que : 
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CBALq = H (K^, BALq, CSN, CTCj^) , 

- etant une cl6 de transaction, 

(S3) incrementant le compteur de transactions a la 
valeur (CTCj^ + 1) = CTC2 
5 (S4) enregistrant la nouvelle balance BAL^ dans la 

zone ZBAL, 

(S5) calculant iin Certificat CBAL^^ de la nouvelle 

balance BAL^^ telle que : 

CBAL^^ = H(K^./BAL^, CSN, CTCj)-, et 
10 (Sg) enregistrant CBAL^^ dans la zone ZBAL ; 

(t) Mettre a jour la carte CM pour la prochaine 

transaction avec un nouveau code secret CSC2 et un 

nouveau certificat CAj, en 

(t^) calculant dans le terminal TE : 
15 - la future clS de session Ksj telle que : 

= F(Kj^, CSN, CTC2) 

- le futur code secret CSC2 tel que : 
CSCj = FCKSj) / 

- le futur certificat d' authentif ication CA2 tel 
20 que : 

CA2 = G(KS2) , 

(t2) enregistrant le code secret CSCj dans la 
meiaoire M de la carte CM dans la zone protegee et 
le certificat d* authentif ication CA2 dans la zone 
25 prdtigee ZCA. 

L' invention a 6t6 dgcrite avec un exemple particulier 
de realisation dans lequel la transaction est une 
operation sur la valeur balance de la carte ; 
cependant, 1" invention s' applique k toute autre 
30 transaction selon les applications prevues pour la 
carte consid§r6e. 

Dans cet exemple particulier, la transaction se termine 
par une incrementation du compteur de transactions CT a 
une valeur CTC2 qui est Sgale habituellement a 
35 (CTC- + 1) . cependant, cette valeur de CTC2 peut 6tre 
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diff6rente de (CTC^ + 1) et fitre 6gale, par exemple, a 
(CTC^ + 3) . 

Ce coiapteur de transactions doit dtre increments ou 
decrements h chaque transaction m§me si 1' operation 
5 conduit a ne pas changer la balance ; dans ce cas, il 
faut effectuer la transaction en reenregistrant la 
balance inchangSe mais le certificat CBAL^ sera 
different car le compteur de transactions aura ete 
incr§mente. II en sera de mfeme du nouveau code secret 

10 CSC2 et du certificat CA2. 

Les variables des fonctions G et Fj^g qui ont ete 
retenues dans I'exemple sont la cle-mere, le numSro de 
serie CSN et la valeur CTC du compteur de transactions. 
Cependant, des variables additionnelles peuvent etre 

15 utilisees telles que le code personnel PIN de 
I'utilisateur de la carte, ce code etant entre dans le 
terminal apres insertion de la carte. 

L" invention a 6t6 dScrite dans le cadre d'une 
authentif ication mutuelle carte/terminal mais elle 

20 s« applique de manifere plus gSnerale d'abord ^ une 
authentif ication du terminal par la carte, cette 
premiere authentif ication pouvant §tre suivie ou non 
par une authentif ication de la carte par le terminal, 
1« ensemble des deux authentif icat ions rSalisant une 

25 authentif ication mutuelle. 

L'exemple dScrit utilise des fonctions cryptographiques 
F, G et Fj^g utilisant des variables telles qu'une cle- 
mdre K^^, une cl6 de session Kg et une cle de 
transaction K^, mais de telles cles ne sont pas 

30 nScessaires pour mettre en oeuvre 1» invention. 

La valeur du compteur d ' authentif ications CE est de 
preference utilisfee pour le calcul du code secret CSN 
tandis que la valeur du compteur de transactions CT est 
de prSfirence utilisee pour le calcul du certificat 

35 d' authentif ication CA. 
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RBVENDICATI0N8 

!• Procedfi d'authentif ication entre une carte a m^moire 
(CM) comportant au moins un compteur (CE, CT) et un 
terminal (TE) , caract6ris§ en ce gu'il comprend les 
6tapes suivantes consistant k : 
5 (a) Inserer la carte i mfemoire (CM) dans le terminal 
(TE) , 

(b) Calculer dans le terminal un code secret CSC^^ selon 
une fonction cryptographique F de plusieurs 
variables comprenant au moins un code CSN 

10 identif iant la carte Sl m§moire et la valeur (CTE^, 

CTCj^) dudit compteur (CE, CT) , 

(c) Authentifier le terminal par la carte lorsque le 
code secret calcule CSCj^ est identique a un code 
CSCq enregistre dans la mSmoire a la fin de la 

15 prScSdente authentif ication selon 1' operation (f) 

ci--aprSs, 

(d) executer la transaction prfevue et modifier la 
valeur (CTEj, CTCj) dudit compteur (CE, CT) , 

(e) calculer dans le terminal (TE) un nouveau code 
20 secret CSCj selon la fonction cryptographique F du 

code CSN identif iant la carte a mSmoire (CM) et de 
la nouvelle valeur (CTEj, CTCj) dudit compteur (CE, 
CT), 

(f) mettre a jour la carte a m§moire (CM) pour la 
25 prochaine transaction en enregistrant dans la 

memoire (M) , le nouveau code secret CSC2 calcul§ 
par I'opfiration (e) . 

2, Proc6d6 selon la revendication 1, caracteris6 : 
30 - en ce qu*il comprend les 6tapes supplementaires 
suivantes entre les Stapes (c) et (d) consistant a : 
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(x) calculer dans le terminal (TE) un certif icat 
d'authentif ication CA^ selon une fonction 
cryptographigue G de plusieurs variables comprenant 
au moins le code CSN identifiant la carte a memoire 
5 et la valeur (CTE^, CTCj^) du compteur (CE, CT) , 

(y) authentifier la carte (CM) par le terminal (TE) 
lorsgue le certif icat d'authentif ication calcule 
CA^ est identigue a un certificat CAq calcule et 
enregistrfe a la fin de la prfecfedente transaction 
10 selon les §tapes (e') et (f ) ci-apr6s : 

en ce gue I'etape (e) est compl6tee par I'etape 
suivante consistant 4 : 

(e') calculer dans le terminal (TE) un nouveau 
certificat d'authentif ication CA2 selon la fonction 
15 cryptographigue G du code CSN identifiant la carte 

a m§moire et de la nouvelle valeur (CTEj, CTC2) 
dudit compteur (CE, CT) , 

et en ce gue I'fetape (f) est compl§tee par I'etape 
suivante consistant ^ : 
20 (f) mettre h jour la carte a memoire (CM) pour la 

prochaine transaction en enregistrant dans la 
memoire (M) le nouveau certificat 

d • authentif ication CA2 calcule selon I'etape (e'). 

25 3, Proc6d6 selon la revendication 1, caracterise : 
- en ce gue I'etape (b) consiste k : 

- calculer d'abord dans le terminal (TE) une cle de 
session Kgj^ selon une fonction cryptographigue Fj^g 
de plusieurs variables comprenant au moins une cl6- 

30 mere K^^^ connue du terminal (TE) , le code CSN 

identifiant la carte h mfemoire (CM) et la valeur 
(CTEj^, CTCj^) dudit compteur (CE, CT) , 

- calculer ensuite dans le terminal (TE) le code 
secret CSC^^ selon la fonction cryptographigue F de 

35 la cl§ de session K^j^, 
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- en ce que I'etape (e) consiste & : 

- calculer d'abord dans le terminal (TE) une 
nouvelle cl6 de session selon la fonction 
cryptographique Fj^g avec la nouvelle valeur (CTE2, 

5 CTC2) dudit comptexir (CE, CT) , 

- calculer ensuite dans le terminal (TE) le nouveau 
code secret CSC2 selon la fonction cryptographique 
F de la nouvelle cl§ de session Kgj^ 

10 4. Procede selon la revendication 2 et 3, caracterisfe 
en ce que : 

- I'fetape (e*) consiste a calculer le nouveau 
certificat d'authentif ication CAj selon la fonction 
cryptographique G de la nouvelle cle de session Kg2 - 

15 

5. Precede selon I'une (juelconque des revendications 
pr§c6dentes 13 4, dans son application 3 une carte a 
memoire (CM) comprenant deux compteurs, l^un (CE) 
comptant les authentif ications et 1" autre (CT) comptant. 
20 les transactions de paiement, caract6ris§ en ce que les 
variables des fonctions cryptographiques F, G et Fj^g 
comprennent les valeurs ( CTE^^ , CTE2 , CTC^ , ^^^2 ) 
desdits compteurs. 

25 6. ProcSd^- selon I'une des revendications precedentes 
caracterise en ce que les fonctions cryptographiques F, 
G et Fj^g sont des fonctions k sens unique. 

7. Proc6de selon la revendication 6, caracterise en ce 
30 que les fonctions cryptographiques F, G et Fj^g sont des 

fonctions de "hachage". 

8. Procede selon I'une des revendications precedentes 3 
i 7, caracterisS en ce que I'etape (b) comprend les 

35 etapes suivantes consistant 3 : 
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(bj^) lire le nxim^ro de sferie CSN de la cart (CM) , 
{^2) lire le contenu (CTE^ et/ou CTC^) du 
compteur, et 

(b^) calculer la cl6 de session selon une fonction 
5 cryptographique Fj^g telle que : 

K^l = ^Jcs^^' CSN' CTCj^). 

9. Proc6de selon I'une des revendications 1 a 8, 
caracterise en ce que l'6tape (c) comprend les fetapes 

10 suivantes consistant a : 

(c^) transmettre le code secret CSC^ ^ la carte 
CM, 

(C2) comparer dans la carte ce code secret CSC^^ a 
un code secret CSCq enregistre dans la carte CM a 
15 la fin de la precedente transaction avec la carte, 

et 

(C3) autoriser la suite des operations si la 
comparaison indique I'identite CSCq - CSC^ ou en 
la refusant dans le cas contraire, 

20 

10. Proc€d6 selon I'une des revendications 2 a 9, 
caract^ris6 en ce que I'etape (y) comprend les stapes 
suivantes consistant ^ : 

(y^) lire le contenu CAq de la zone ZCA de la 
25 memoir e de la carte CM, 

(yj) transmettre au terminal (TE) le contenu CAq 

de cette zone ZCA qui correspond a un Certificat 

d* Authentif ication CAq calcule a la fin de la 

precfidente transaction, 
30 (y^) comparer dans le terminal TE le Certificat 

d'Authentif ication calcul6 CA^ au certificat CAq, 

et 

(¥4) autoriser la suite des operations si la 
comparaison indique I'identite CA^ = CAq. 
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11. Proc6d6 selon I'une des revendications 1 a 10, 
caracterise en ce que I'fetape (d) comprend, dans le cas 
d'une modification de la balance BALq, les 6tapes 
suivantes consistant A : 

5 (dj^) lire dans une zone ZBAL de la m^moire (M) la 

valeur BALq de la balance resultant de la 
transaction pr§c6dente et le certificat 
correspondant CBALq, et 

(dj) verifier que le certificat CBALq correspond 
10 bien au resultat de la fonction cryptographique 

telle que : 

CBALq = H (K^, BALq, CSN, CTC^^) , 
- §tant une cl§ de transaction, 
(d3) incrementer le compteur de transactions a la 
15 valeur (CTC^^ + 1) = CTCj 

(d^) enregistrer la nouvelle balance BAL^^ dans la 
zone ZBAL, 

(dg) calculer un Certificat CBALj, de la nouvelle 
balance BAL^ telle que : 
20 CBAL^ = H(Kt, BALj^, CSN, CTC2) , et 

(dg) enregistrer CBAL^ dans la zone ZBAL. 

12. Procfede selon I'une des revendications precedentes 
1 ^ 11, caractgrise en ce que : 

25 - l'6tape' (a) comprend en outre, une etape d'entrie du 
code personnel PIN de I'utilisateur . 

13. Precede selon I'une des revendications precedentes 
3 S 12, caractfirise en ce que : 

30 - dans I'etape (b) , I'une des variables utilisees pour 
le calcul de session Ks^ est le code personnel PIN de 
1 'utilisateur. 
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